Закон обязывает оператора принимать меры, необходимые и достаточные для выполнения его обязанностей, и среди этих мер прямо названы внутренний контроль и (или) аудит соответствия (п. 4 ч. 1 ст. 18.1 152-ФЗ). Аудит нужен перед проверкой Роскомнадзора, при запуске новой информационной системы, после слияния или смены подрядчиков, перед крупной сделкой, где заказчик просит подтверждение, и как регулярная проверка раз в год. Он показывает нарушения, о которых организация не знает: нет правовых оснований обработки, документы расходятся с практикой, защита не соответствует уровню защищенности.

• Сбор исходных данных: цели и процессы обработки ПДн, перечень информационных систем, места хранения, поставщики и подрядчики.
• Проверка правовых оснований: согласия, поручения обработки, трансграничная передача, сайт и формы сбора данных, уведомления.
• Проверка документов: политика, локальные акты, перечни ПДн и ИСПДн, приказы о назначении ответственных, журналы.
• Проверка организационных мер: допуск работников, обучение, обработка обращений субъектов, порядок уничтожения ПДн.
• Проверка технической защиты: уровень защищенности, модель угроз, реализованные меры приказа ФСТЭК № 21, применяемые средства защиты, журналы событий.
• Интервью с работниками и осмотр рабочих мест: выборочная проверка на практике, а не только по документам.
• Отчет о несоответствиях с оценкой существенности и план устранения с ответственными и очередностью работ.

Отчет об аудите: перечень выявленных несоответствий с оценкой существенности, список проверенных документов и систем, рекомендации и план устранения. Часто к отчету добавляют сводную таблицу «требование – статус – доказательство» и проекты исправленных документов.

Внешний аудитор – организация или специалист, не участвовавшие в построении проверяемой системы защиты, что дает независимость выводов. Внутренний вариант – ответственный за организацию обработки ПДн или служба внутреннего контроля. Для технической части нужен специалист по защите информации; приказ ФСТЭК № 21 допускает привлекать для оценки эффективности мер организации с лицензией ФСТЭК России на техническую защиту конфиденциальной информации. Со стороны заказчика участвуют ответственный за ПДн, ИТ, ИБ, юристы и владельцы процессов.

• Независимость: исполнитель не должен был проектировать или внедрять проверяемую систему защиты; во внутреннем варианте проверяющий не отвечает за проверяемый процесс.
• Опыт именно с ПДн и проверками Роскомнадзора, а не только общий ИТ-аудит; попросите обезличенный пример отчета.
• Состав команды: юрист по ПДн и специалист по технической защите; для оценки эффективности мер – лицензия ФСТЭК России на техническую защиту конфиденциальной информации.
• Метод: выборочная проверка на практике и интервью, а не только чтение документов; утвержденная программа проверки.
• Содержание отчета: ссылки на требования, оценка существенности, конкретные действия по устранению вместо общих рекомендаций.
• Конфиденциальность: соглашение о неразглашении и порядок доступа исполнителя к ИСПДн.